Air Gap neu gedacht: Von permanenter Isolation zu zeitbasierter Trennung

01Kernaussagen

1. 01

   Der Air Gap war nie eine Stilfrage. Er sollte Erreichbarkeit physisch unmöglich machen, wenn die Kompromittierung eines Systems nicht akzeptabel wäre.

2. 02

   Permanente Isolation funktioniert in wenigen Spezialumgebungen. Die meisten Organisationen brauchen heute kurze, kontrollierte Fenster für Backup, Wartung, Updates und Evidenz.

3. 03

   Ein kontrollierter Air Gap macht Konnektivität von einem Dauerzustand zu einem expliziten Ereignis: für einen Zweck geöffnet, standardmäßig geschlossen und als Betriebsnachweis dokumentiert.

4. 04

   Der entscheidende Schritt ist nicht ein weiterer Filter. Entscheidend ist eine hardwareseitige Trennung, die out of band gesteuert wird, sodass der geschützte Datenpfad sich nicht selbst wieder öffnen kann.

02Der alte Air Gap löste ein echtes Problem

Über Jahrzehnte bedeutete Air Gap vor allem eines: kein Netzwerkpfad. In militärischen Systemen, klassifizierter Forschung, industrieller Steuerung und besonders sensiblen SCADA-Umgebungen war diese Regel sinnvoll. Was aus einem feindlichen Netz nicht erreichbar ist, kann von dort nicht remote ausgenutzt werden.

Dieses Prinzip ist weiterhin richtig. Schwierig ist nur, dass moderner Betrieb nicht mehr auf permanente Trennung ausgelegt ist. Backups müssen laufen. Hersteller benötigen geplanten Zugriff. Firmware muss aktualisiert werden. Monitoring-Teams brauchen Nachweise. Die Frage lautet daher nicht, ob Isolation wichtig ist. Die Frage lautet, wie Isolation nutzbar bleibt, ohne daraus permanente Exposition zu machen.

Der moderne Air Gap gibt Isolation nicht auf. Er macht sie betriebsfähig.

03Warum permanente Isolation nicht mehr skaliert

Ein kontrollierter Air Gap behält das klassische Prinzip bei: Wenn ein geschütztes Asset nicht online sein muss, sollte kein erreichbarer Pfad existieren. Was sich ändert, ist das Betriebsmodell. Statt anzunehmen, dass ein Asset für immer offline bleibt, definiert die Organisation, wann ein Pfad existieren darf und wer ihn öffnen kann.

Damit unterscheidet sich der moderne Air Gap von drei vertrauten Kontrollen:

Firewall-Regel

eine Software-Entscheidung auf einem gerouteten Pfad, der weiterhin vorhanden ist. Nützlich, aber abhängig von Konfiguration und Integrität der Management-Ebene.

VPN-Zugriff

ein authentifizierter Tunnel für Benutzer oder Dienstleister. In manchen Abläufen notwendig, aber weiterhin eine aktive Remote-Access-Fläche.

Segmentierung

eine Methode, Pfade im Netzwerk zu verengen. Wertvoll, aber nicht dasselbe wie das Entfernen des physischen Pfads, wenn das Asset inaktiv ist.

Ein kontrollierter Air Gap ist strenger. Er sagt: Der sicherste Pfad ist derjenige, der nur während eines definierten Betriebsfensters vorhanden ist.

04Zeit ist die fehlende Kontrollfläche

Die Verschiebung wird klar, wenn man Cyberrisiko über Zeit betrachtet:

Klassische Air Gaps wollten die Expositionszeit auf null drücken. Always-on-Architekturen treiben sie auf 168 Stunden pro Woche. Ein zeitbasierter Air Gap liegt zwischen diesen Extremen. Er akzeptiert, dass manche Workflows Konnektivität benötigen, und macht dann deren Dauer zur gesteuerten Variable.

Das ist wichtig, weil die meisten Kompromittierungswege nicht filmreif sind. Sie sind opportunistisch, automatisiert und geduldig. Ein Backup-Ziel, ein Kamerasegment oder ein Management-Interface, das rund um die Uhr erreichbar ist, ist genau dann verfügbar, wenn Scanner, gestohlene Zugangsdaten oder laterale Bewegung es erreichen.

Ist dasselbe Asset nur in einem vierstündigen Wartungs- oder Backup-Fenster erreichbar, muss ein Angreifer dieses Fenster treffen. Die Kontrolle verspricht keine Unverwundbarkeit. Sie entfernt den dauerhaft verfügbaren Pfad, von dem viele Angriffe abhängen.

05Drei Verschiebungen hinter dem modernen Air Gap

06Warum reine Software-Kontrollen nicht dasselbe sind

Software-Kontrollen bleiben notwendig. Sie authentifizieren Benutzer, filtern Verkehr, inspizieren Sitzungen und erzeugen Logs. Sie haben aber nicht denselben Fehlerzustand wie eine physische Trennung. Eine Software-Kontrolle kann durch Software geändert, über Software administriert und manchmal durch Software umgangen werden.

Konfigurationsdrift

Regeln sammeln sich an, Ausnahmen bleiben offen und temporärer Zugriff wird zum Normalzustand.

Gemeinsames Schicksal

Liegt die Control-Plane im selben Netz wie das Asset, kann eine Kompromittierung sowohl das Ziel als auch den Schutzmechanismus betreffen.

Zugangsdaten-Exposition

VPNs und Admin-Portale verschieben das Problem auf Identität. Das hilft, aber gestohlene Zugangsdaten können weiterhin einen Live-Pfad öffnen.

Abhängigkeit von Detection

Monitoring kann zeigen, dass etwas passiert ist. Es garantiert nicht, dass der Pfad davor nicht vorhanden war.

Es geht nicht darum, diese Kontrollen zu ersetzen. Es geht darum, ihnen ein kleineres Zeitfenster zu geben, das sie verteidigen müssen.

07Hardware-erzwungene Trennung über Out-of-Band-Steuerung

Ein moderner kontrollierter Air Gap braucht zwei Eigenschaften. Erstens wird der geschützte Ethernet-Pfad hardwareseitig geöffnet oder geschlossen. Zweitens ist der Steuerpfad für diese Trennung out of band, sodass das geschützte Datennetz dem Gerät nicht selbst den Reconnect befehlen kann.

An dieser Stelle positionieren Produkte wie AGN1 die Air-Gap-Idee neu. Sie verlangen nicht, dass jede Organisation ein Betriebsmodell für klassifizierte Netze einführt. Sie machen eine physische Trennung für normale Assets nutzbar, die nur zeitweise erreichbar sein müssen.

Zeitplan

den Pfad während eines definierten Backup-, Update- oder Prüfungsfensters öffnen.

Auf Anforderung

wieder verbinden, wenn ein autorisierter Operator eine Aufgabe freigibt.

Job-gekoppeltes Schließen

erneut trennen, sobald der operative Grund endet.

Evidenz

festhalten, dass das Fenster geöffnet und geschlossen wurde.

Das Ergebnis ist keine mystische Sicherheitszone. Es ist ein kleineres, disziplinierteres Angriffsfenster, gestützt durch eine physische Zustandsänderung.

Wenn das Datennetz seine eigene Isolation wieder öffnen kann, ist die Isolation nur Policy. Wenn es das nicht kann, wird die Kontrolle zur Grenze.

08Wo kontrollierte Air Gaps passen

09Ein praktisches Deployment-Muster

Ein kontrollierter Air Gap beginnt mit dem Betriebskalender, nicht mit einem Gerät. Bevor Hardware in den Pfad gesetzt wird, muss klar sein, wann der Pfad benötigt wird und welche Evidenz beweist, dass er wieder geschlossen wurde.

1. Asset auswählen

   Starten Sie mit einem Repository, Management-Interface, Kamerasegment oder herstellergewarteten Gerät, dessen Kompromittierung teuer wäre.

2. Fenster definieren

   Schreiben Sie das kleinste vertretbare Verbindungsfenster für Backup, Wartung, Update oder Prüfung fest.

3. Owner benennen

   Machen Sie ein Team verantwortlich für Reconnect-Freigaben und das Schließen des Pfads nach der Aufgabe.

4. Trennung platzieren

   Setzen Sie die physische Trennung an den Punkt, an dem sie Erreichbarkeit entfernt, ohne unbeteiligten Verkehr zu stören.

5. Zustandswechsel protokollieren

   Halten Sie jedes Öffnen und Schließen fest, damit Security und Audit den Workflow prüfen können.

Die einfachsten Deployments sind oft die stärksten. Eine Asset-Klasse, ein Fenster, ein Owner, ein Nachweis, dass der Pfad außerhalb des Fensters geschlossen ist.

10Drei häufige Einwände

11Schlussgedanke

Der Air Gap wurde nicht überholt, weil das Prinzip falsch war. Er wurde schwer nutzbar, weil sich Betrieb schneller verändert hat als das Kontrollmodell.

Die Neuerfindung ist nüchtern und praktisch: physische Grenze behalten, zeitbasiert machen, out of band steuern und jeden Reconnect als Ereignis mit Grund behandeln. So bekommen moderne Teams den Teil des Air Gaps zurück, der am wichtigsten bleibt: weniger Stunden, in denen das geschützte Asset überhaupt erreichbar ist.